1.Tanım,
Bilgi,kurumdaki diğer varlıklar gibi,kurum için önem taşıyan ve bu nedenle de en iyi şekilde korunması gereken varlıktır.Bilgi güvenliği; kurumdaki işlerin sürekliliğinin sağlanması, işlerde meydana gelebilecek aksaklıkların azaltılması ve yatırımlardan gelecek faydanın artırılması için bilginin geniş çaplı tehditlerden korunmasını sağlar. Bilgi güvenliği politikaları,bir kurumun değerli bilgilerinin yönetimini,korunmasını,dağıtımını ve önemli işlevlerinin korunmasını düzenleyen kurallar ve uygulamalar bütünüdür.
Bilgi güvenliği temelde aşağıdaki üç unsuru hedefler:
* Gizlilik (Confidentiality)
* Bütünlük (Integrity)
* Kullanılabilirlik (Availability)
Gizlilik, Bilginin yetkisiz kişilerin erişimine kapalı olması şeklinde tanımlanabilir. Bir diğer tarif ile gizlilik bilginin yetkisiz kişilerce açığa çıkarılmasının engellenmesidir.
Bütünlük, Bilginin yetkisiz kişilerce değiştirilmesi, silinmesi ya da herhangi bir şekilde tahrip edilmesi tehditlerine karşı içeriğinin korunmasıdır. Bütünlük için kısaca kazara veya kasıtlı olarak bilginin bozulmaması diyebiliriz.
Kullanılabilirlik, Bilginin her ihtiyaç duyulduğunda kullanıma hazır durumda olması demektir. Herhangi bir sorun ya da problem çıkması durumunda bile bilginin erişilebilir olması kullanılabilirlik özelliğinin bir gereğidir. Bu erişim kullanıcının hakları çerçevesinde olmalıdır. Kullanılabilirlik ilkesince her kullanıcı erişim hakkının bulunduğu bilgi kaynağına, yetkili olduğu zaman diliminde mutlaka erişebilmelidir
2.Kapsam;
Bu politika, kurum Bilgi İşlem altyapısını kullanmakta olan tüm birimleri, üçüncü taraf olarak bilgi sistemlerine erişen kullanıcıları ve bilgi sistemlerine teknik destek sağlamakta olan hizmet, yazılım veya donanım sağlayıcılarını kapsamaktadır.
3.Amaç;
Kurum yönetimi:
*Kurumun güvenirliliğini ve temsil ettiği makamın imajını kormak,
*Üçüncü taraflarla yapılan sözleşmelerde belirlenmiş uygunluğu sağlamak,
* Kurumun temel ve destekleyici iş faaliyetlerinin en az kesinti ile devam etmesini
sağlamak amacıyla kurum bilişim hizmetlerinin gerçekleştirilmesinde kullanılan tüm
fiziksel ve elektronik bilgi varlıklarının bilgi güvenliğini sağlamayı hedefler.
4.İlkeler
Kurum bilgi işlem altyapısını kullanan ve bilgi kaynaklarına erişen herkes:
1)Kişsel ve elektronik iletişimde ve üçüncü taraflarla yapılan bilgi alışverişlerinde kuruma ait
bilginin gizliliğini sağlamalı.
2)Kritiklik düzeylerine göre işlediği bilgiyi yedeklemeli,
3)Risk düzeylerine göre belirlenen güvenlik önlemlerini almalı,
4)Bilgi Güvenliği ihlal olaylarını raporlamalı ve Bilgi İşlem Birimi’ne bildirmeli, bu ihlalleri engelleyecek önlemleri almalıdır.
5)Kurum içi bilgi kaynakları (duyuru, doküman vb.)yetkisiz olarak üçüncü kişilere iletemez.
6)Kurum bilişim kaynakları, T.C. yasalarına ve bunlara bağlı yönetmeliklere aykırı faaliyetler amacıyla kullanılamaz.
Kurumun tüm çalışanları; bu politikaya, prosedür ve talimatlarına uymakla yükümlüdür.
5.Roller ve Sorumluluklar
1)İş süreçlerinin gereksinimi olarak her türlü bilgi, en az kesintiyle kapsam dahilindeki bildirimler, hizmet verenler ve gereken üçüncü taraflarca erişebilir olacaktır.
2)Bilgilerin bütünlüğü her durumda korunacaktır.
3)Hizmet alanlar ve verenler yada üçüncü taraflara ait olmasına bakılmaksızın, üretim ve/veya kullanılan bilgilerin gizliliği her durumda güvence altına alınacaktır.
4)Bilgi Güvenliği Yönetim Sistemi’nin tasarımı, uygulaması ve sürdürülmesi aracılığıyla riskler kabul edilebilir düzeye indirilecektir.
5)Bilgi; bilginin elektronik iletişimi üçüncü taraflarca paylaşımı, araştırma amaçlı kullanımı, fiziksel yada elektronik ortamda depolanması gibi kullanım biçimlerinden bağımsız olarak korunacaktır.
6)Bilgi varlıkları Varlık Envanteri Tablosunda gizlilik dereceleri ile tanımlanacak ve çalışanlar tarafından gizliliği ve bütünlülüğü sağlanacaktır.
7)Çalışma alanlarında ‘’Temiz Ekran/Temiz Masa’’prensiplerine uygun olarak, tasnif dışı özellikteki bilgiler dışında bilgilerin, başkalarınca görülmesine imkan verilmeyecek şekilde önlemler alınacaktır.
8)Tüm çalışanlarımız bütün faaliyetlerde “bilmesi gereken” prensibine göre bilgilendirilecek olup; elektronik ortamda da “bilinmesi gereken” prensibi çerçevesinde erişebilir olacaktır.
9)Tüm birim yöneticileri bu esasları uygulanmasından birinci dereceden sorumlu olacaklar ve personelin bu esaslara uygun olarak çalışmasını sağlayacaktır.
6.Politika İhlali ve Yaptırımlar
Bilgi güvenliği politika, prosedür ve talimatlarına uyulmaması halinde, ilgililer hakkında adli ve idari yasal işlemler başlatılarak; aşağıdaki yaptırımlardan bir yada birden fazla maddesi uygulanabilir.
*Uyarma
*Kınama
*Para Cezası
*Sözleşme Feshi
Kurumumuza ait Bilgi Güvenliği Politikası oluşturulmuş olup bu politika kapsamında hazırlanmış olan talimatlar aşağıda gösterilmiştir.
Kurumsal Bilişim sistemlerinin güvenliğinde herhangi bir aksamaya mahal verilmemesi için genel sistem seviyesinde alınmış olan güvenlik tedbirleri yanında çalışanlarımızın da bu hususta titizlikle uyması gereken bu kurallara bütün kurum çalışanları uymak zorundadır.
BİLGİ GÜVENLİĞİ KAPSAMINDA UYULMASI GEREKEN KURALLAR
1. E-Posta Kullanma Kuralları
1) Kurumun e-posta sistemi, taciz, suistimal veya herhangi bir şekilde alıcının haklarına zarar vermeye yönelik öğeleri içeren mesajların gönderilmesi için kesinlikle kullanılamaz.
2) Zincir mesajlar ve mesajlara iliştirilmiş her türlü çalıştırılabilir dosya içeren e-postalar alındığında hemen silinmeli ve kesinlikle başkalarına iletilmemelidir.
3) Kişisel kullanım için İnternet’teki listelere üye olunması durumunda kurum e-posta adresleri kullanılmamalıdır.
4)Spam, zincir e-posta, sahte e-posta vb. zararlı e-postalara yanıt yazılmamalıdır.
5) Kullanıcıların kullanıcı kodu/şifresini girmesini isteyen e-postaların sahte e-posta olabileceği dikkate alınarak, herhangi bir işlem yapılmaksızın derhal silinmelidir.
6) Çalışanlar e-posta ile uygun olmayan içerikler (pornografi, ırkçılık, fikri mülkiyet içeren malzeme vb.) gönderemezler.
7)Çalışanlar, mesajlarının yetkisiz kişiler tarafından okunmasını engellemelidirler. Bu yüzden şifre kullanılmalı ve e-posta erişimi için kullanılan donanım/yazılım sistemleri yetkisiz erişimlere karşı korunmalıdır.
8)Kurum çalışanları mesajlarını düzenli olarak kontrol etmeli ve kurumsal mesajları cevaplandırmalıdır.
9) Kurum çalışanları kurumsal e-postaların kurum dışındaki şahıslar ve yetkisiz şahıslar tarafından görünmesi ve okunmasını engellemekten sorumludurlar.
10)Kaynağı bilinmeyen e-posta ekinde gelen dosyalar kesinlikle açılmamalı ve derhal silinmelidir. Çünkü bu mailler virüs, e-mail bombaları ve Truva atı gibi zararlı kodlar içerebilirler.
11) Kurum dışından güvenliğinden emin olunmayan bir bilgisayardan web posta sistemi kullanılmamalıdır.
12) Elektronik postalar sık sık gözden geçirilmeli, gelen mesajlar uzun süreli olarak genel elektronik posta sunucusunda bırakılmamalı ve bilgisayardaki bir kişisel klasöre (kişisel klasörler ) çekilmelidir.
13) Hastanemiz çalışanları gönderdikleri, aldıkları veya sakladıkları e-maillerde kişisellik aramamalıdır.
Yasadışı ve hakaret edici e-posta haberleşmesi yapılması durumunda yetkili kişiler önceden haber vermeksizin e-mail mesajlarını denetleyebilir ve kullanıcı hakkında yasal ve idari işlemler başlatabilir.
14) Kullanıcılar kendilerine ait e-posta adresinin şifresinin güvenliğinden ve gönderilen e-postalardan doğacak hukuki işlemlerden sorumludurlar. Şifrelerin kırıldığını fark ettikleri andan itibaren yetkililerle temasa geçip durumu haber vermekle yükümlüdürler.
15) Altı ay süre ile kullanılmayan e-posta kutuları Bilgi İşlem Müdürlüğü tarafından kaldırılabilir.
Kurumdan ayrılan personel kurumsal e-posta sistemini kullanamaz. E-posta adresine sahip kullanıcı herhangi bir sebepten birim değiştirme, emekli olma, işten ayrılma sebepleriyle kurumdaki değişikliğinin yetkililer tarafından Bilgi İşlem Müdürlüğüne en kısa zamanda bildirilmesi gerekmektedir.
2. Şifre Kullanma Kuralları
1) Bütün kullanıcı seviyeli şifreler (örnek, e-posta, web, masaüstü bilgisayar vs.) en az altı ayda bir değiştirilmelidir. Tavsiye edilen değiştirme süresi her üç ayda birdir.
2)Şifreler e-posta iletilerine veya herhangi bir elektronik forma eklenmemelidir.
3) Şifreler başkası ile paylaşılmamalı, kağıtlara yada elektronik ortamlara yazılmamalıdır.
4) Şifrelemede, küçük ve büyük karakterlere (örnek, a-z, A-Z), hem digit hem de noktalama karakterleri ve ayrıca harflere (örnek, 0-9, !’^+%&/()=?_;*) sahip olmalıdır.
5) En az sekiz adet alfa nümerik karaktere sahiptir.
6) Herhangi bir dildeki argo, lehçe veya teknik bir kelime olmamalıdır.
7) Aile isimleri kullanılmamalıdır.
8) Herhangi bir kişiye telefonda şifre verilmemelidir.
9) E-posta mesajlarında şifre yazılmamalıdır.
10) Şifreler aile bireyleriyle paylaşılmamalıdır.
11) Şifreler, işten uzakta olduğunuz zamanlarda iş arkadaşlarına verilmemelidir.
12) Bir kullanıcı adı ve şifresi birden çok bilgisayarda kullanılmamalıdır.
13) Şifre kırma ve tahmin etme operasyonları belli aralıklar ile yapılabilir. Güvenlik taraması sonucunda şifreler tahmin edilirse veya kırılırsa kullanıcıya şifresini değiştirmesi talep edilecektir.
3. Antivirüs Politikası
1. Bütün bilgisayarlarda kurumun lisanslı antivirüs yazılımı yüklü olmalıdır ve çalışmasına engel olunmamalıdır.
2. Antivirüs yazılımı yüklü olmayan bilgisayar ağa bağlanmamalı ve hemen Bilgi İşlem Müdürlüğüne haber verilmelidir.
3. Zararlı programları (örneğin, virüsler, solucanlar, truva atı, e-mail bombaları vb) kurum bünyesinde oluşturmak ve dağıtmak yasaktır.
4. Hiçbir kullanıcı herhangi bir sebepten dolayı antivirüs programını sistemden kaldıramaz ve başka bir antivirüs yazılımını sisteme kuramaz.
4. İnternet Kullanım Politikası
1) Hiçbir kullanıcı peer-to peer ve tünel bağlantı yoluyla internetteki servisleri kullanamayacaktır. (Örneğin;Zen Mate, KaZaA, iMesh, Gnutella, Napster, Aimster, Madster, FastTrak, eMule,. vb)
2) Bigisayarlar arası ağ üzerinden resmi görüşmeler haricinde Skype, Messenger vb.mesajlaşma ve sohbet programları gibi chat programları kullanılmamalı ve chat programları üzerinden dosya alışverişinde bulunulmamalıdır.
3) Hiçbir kullanıcı internet üzerinden Multimedia Streaming (Video, mp3 yayını ve iletişimi) yapamayacaktır. Bu internet erişiminde bant genişliği harcadığı için diğer kullanıcıların veriye erişiminde sorunlar yaratmaktadır.
4) Çalışma saatleri içerisinde aşırı bir şekilde iş ile ilgili olmayan sitelerde gezinmek yasaktır.
5) İş ile ilgili olmayan (Müzik, video dosyaları) yüksek hacimli dosyalar göndermek ( upload ) ve indirmek ( download ) etmek ve bilgisayarlarda saklamak yasaktır.
6) İnternet üzerinden kurum tarafından onaylanmamış yazılımlar indirilemez ve kurum sistemleri üzerine bu yazılımlar kurulamaz kullanılamaz
7) Bilgisayarlar üzerinden genel ahlak anlayışına aykırı internet sitelerine girilmemeli ve dosya indirimi yapılmamalıdır.
8) Bilgisayar İşletim Sistemlerine zarar verdiği için internet üzerinden ekran koruyucu, yamalar, masaüstü resimleri, yardımcı, tamir edici program olduğu belirtilen araçlar gibi her türlü dosya ve programların indirilmesi ve/veya kurulması yasaktır. Üçüncü şahısların kurum içerisinden interneti kullanmaları Bilgi İşlem Müdürlüğünün izni ve bu konudaki kurallar dahilinde gerçekleştirilebilecektir.
9) Bilgi İşlem Müdürlüğü, iş kaybının önlenmesi için çalışanların internet kullanımı hakkında gözlemleme ve istatistik yapabilir. Gerekli durumlarda internet üzerinde kısıtlamalar yapabilir
5. Genel Kullanım Politikası
1) Bilgisayar başından uzun süreli uzak kalınması durumunda bilgisayar kilitlenmeli ve 3.şahısların bilgilere erişimi engellenmelidir.
2) Laptop bilgisayarlar güvenlik açıklarına karşı daha dikkatle korunmalıdır. İşletim sistemi şifreleri aktif hale getirilmelidir.
3) Kurumda domain (çalışma alanı) yapısı varsa mutlaka login olunmalıdır. Bu durumda, domain’ e bağlı olmayan bilgisayarların yerel ağdan çıkarılmalı, yerel ağdaki cihazlar ile bu tür cihazlar arasında bilgi alışverişi yapılmamalıdır.
4) Laptop bilgisayarın çalınması/kaybolması durumunda en kısa sürede Bilgi İşlem Müdürlüğüne haber verilmelidir.
5) Bütün kullanıcılar kendi bilgisayar sisteminin güvenliğinden sorumludur. Bu bilgisayarlardan kaynaklanabilecek, kuruma veya kişiye yönelik saldırılardan (Örneğin; elektronik bankacılık, hakaret-siyaset içerikli mail, kullanıcı bilgileri vs.) sistemin sahibi sorumludur.
6) Kurumun bilgisayarlarını kullanarak taciz veya yasadışı olaylara karışılmamalıdır.
7) Ağ güvenliğini (Örneğin; bir kişinin yetkili olmadığı halde sunuculara erişmek istemesi) veya ağ trafiğini bozacak (packet sniffing, packet spoofing, denial of service vb.) eylemlere girişmemelidir.
8) Port veya ağ taraması yapılmamalıdır.
9) Ağ güvenliğini tehdit edici faaliyetlerde bulunulmamalıdır. DoS saldırısı, port-network taraması vb. yapılmamalıdır.
10) Kurum bilgileri kurum dışından üçüncü kişilere iletilmemelidir.
11)Kullanıcıların kişisel bilgisayarları üzerine Bilgi İşlem Müdürlüğünü onayı alınmaksızın herhangi bir çevre birimi bağlantısı yapılmamalıdır.
12) Cihaz, yazılım ve veri izinsiz olarak kurum dışına çıkarılmamalıdır.
13) Kurumun kullanmakta olduğu yazılımlar hariç kaynağı belirsiz olan programları (Dergi CD’ leri veya internetten indirilen programlar vs.) kurmak ve kullanmak yasaktır.
14) Yetkisi olmayan personelin, kurumdaki gizli ve hassas bilgileri görmesi veya elde etmesi yasaktır.
15) Kurumsal veya kişisel verilerin gizliliğine ve mahremiyetine özel önem gösterilmelidir. Bu veriler, odamızın bu konudaki ilgili mevzuat hükümleri saklı kalmak kaydıyla elektronik veya kağıt ortamında üçüncü kişi ve kurumlara verilemez.
16) Personel, kendilerine tahsis edilen ve kurum çalışmalarında kullanılan masaüstü ve dizüstü bilgisayarlarındaki kurumsal bilgilerin güvenliği ile sorumludur.
17) Bilgi İşlem Müdürlüğü tarafından yetkili kişiler kullanıcıya haber vermeksizin yerinde veya uzaktan, çalışanın bilgisayarına erişip güvenlik, bakım ve onarım işlemleri yapabilir. Bu durumda uzaktan bakım ve destek hizmeti veren yetkili personel kişisel bilgisayardaki kişisel veya kurumsal bilgileri görüntüleyemez, kopyalayamaz ve değiştiremez.
18) Bilgisayarlarda oyun ve eğlence amaçlı programlar çalıştırılmamalı/ kopyalanmamalıdır.
19) Bilgisayarlar üzerinde resmi belgeler, programlar ve eğitim belgeleri haricinde dosya alışverişinde bulunulmamalıdır.
20) Kurumda Bilgi İşlem Müdürlüğünün bilgisi olmadan Ağ Sisteminde (Web Hosting, E-posta Servisi vb.) sunucu niteliğinde bilgisayar ve cihaz bulundurulmamalıdır.
21) Birimlerde sorumlu Bilgi İşlem personeli ve ilgili teknik personel bilgisi dışında bilgisayarlar üzerindeki ağ ayarları, kullanıcı tanımları, kaynak profilleri vs. üzerinde mevcut yapılmış ayarlar hiçbir surette değiştirilmemelidir.
22) Kurum içi bilgi kaynakları (duyuru, doküman vb.) yetkisiz olarak 3.kişilere iletilemez
23) Gerekmedikçe bilgisayar kaynakları paylaşıma açılmamalıdır, kaynakların paylaşıma açılması halinde de mutlaka şifre kullanma kurallarına göre hareket edilmelidir.
24) Bilgisayar üzerinde bir problem oluştuğunda, yetkisiz kişiler tarafından müdahale edilmemeli, ivedilikle Bilgi İşlem Müdürlüğüne haber verilmelidir.
25) Kurum bilişim kaynakları, T.C. yasalarına ve bunlara bağlı yönetmeliklere aykırı faaliyetler amacıyla kullanılamaz.
26) Bilgisayarlara herhangibir şekilde lisanssız program yüklenmemelidir.
27)Gerekmedikçe bilgisayar kaynakları paylaşıma açılmamalıdır, kaynaların paylaşıma açılması halinde de mutlaka şifre kullanma kurallarına göre hareket etmelidir.
28)Bilgisayar üzerinde bir problem oluştuğunda, yetkisiz kişiler tarafından müdahale edilmemeli, ivedilikle Bilgi İşlem Birimine haber verilmelidir.
Kuralların uygulanmasından birim amirleri sorumlu olup; şahısların yapmış olduğu kural ihlallerinden ilgili sistem kullanıcıdan başlamak üzere sin sile yolu ile sorumludurlar.
Yukarıda belirtilen talimatları okudum, uygulamada aksaklığa mahal vermeyeceğimi taahhüt eder, aksi halde yapılacak olan adli ve idari işlemden doğacak hukuki sonuçlarına katlanacağımı kabul ve taahhüt ederim.
6. Sisteme Erişim
Hastanedeki tüm bilgisayarlar otomasyon sistemine bağlı olup ayrıca güvenlik duvarı
koruması altında bu bilgisayarların internete erişimi sağlanmaktadır. İnternete erişim bilgi işlem ünitesinin kontrolü altında kısıtlı olarak sağlanmaktadır.
E-Posta erişimine internet üzerinden kullanımına izin verilmekte olup, sakıncalı iletiler
güvenlik duvarı tarafından engellenmektedir.
Uzaktan Erişim: Bilgi işlemden sorumlu personel tarafından gerekli görülen durumlarda
güvenlik duvarı tarafından korumalı olarak erişim sağlanmaktadır.
Kablosuz erişim: Hastane içerisinde kablosuz erişim mevcut olup, otomasyon ile bağlantıyı
sağlayacak olan cihazların MAC (fiziksel) adresleri modem üzerinde kayıtlıdır.
İzinsiz olarak dışardan girişlere kapalıdır.
Şifre Kullanımı: Otomasyon erişimi verilen personellerin kullanıcı adı ve şifreleri bilgi işlem
tarafından verilmekte olup, bu şifrelerin kısa süre içerisinde ilgili personel tarafından belirli zaman aralıklarında değiştirilmesi istenmektedir. Şifre değişikliği yapılmadan sisteme erişim sağlanmamaktadır. Personelin değiştirmiş olduğu şifreler otomasyon üzerinden hiçbir şekilde görülmemektedir.
7. HBYS de oluşan sorunların çözümünde uyulması gereken kurallar:
1-Konu ile ilgili bilgi işleme sistem sorumluları ile telefon veya HBYS modülü üzerinden online
mesajlaşarak irtibat kurulmaktadır.
2-HBYS ile ilgili sorunlar ve çözümler sorunun oluştuğu tarih ve saat bildirimin yapıldığı tarih
ve saat kayıt altına alınmaktadır. Bu kayıtlar HBYS modülü üzerinden izlenebilmektedir.
3-Sorunlar ile ilgili aylık istatistiksel çalışmalar yapılmakta olup, sorunlarla ilgili gerekli
düzeltici önleyici faaliyet başlatılmaktadır.
Bilgi Paylaşımı:
İleri tetkik ve tedavi yöntemleri için başka hastane veya özel merkezler sevk sırasında hastaya
ait bilgiler ilgili mevzuatın gereklerine uygun belgeler ile hastanın kendisi tarafından iletilmektedir.
Hasta sağlık bilgileri hastanemiz tarafından veya Sağlık Bakanlığının bilgi yönetim sistemleri
tarafından araştırma, istatistik ve karar destek sistemleri için kullanırlar.
Yedekleme:
Bütün hasta kayıtları ve yedeklenmiş hasta bilgileri fiziksel olarak korunmuş mekanlarda
saklanmaktadır.
Hasta kayıtlarının yedeklenmesi Bilgi İşlem tarafından yapılmaktadır. Yedekler Harici
Bellek’lere Backup Yapılan yedeklemeler, Harici Bellek ortamında Bilgi İşlem odasında
saklanmaktadır. Bu Harici Disk dolduğu zaman arşive teslim edilir